Redis phát hiện hai lỗ hổng zero-day qua RESTORE dẫn tới RCE, cần nâng cấp
"Researchers reported authenticated remote code execution proof-of-concepts against stock Redis 6.2.22, 7.4.9, 8.6.4, and 8.8.0 by abusing RESTORE-triggered memory corruption in Redis Streams and RedisBloom TDigest RDB loading. Redis released seven security updates on July 23, 2026 to fix the shared-NACK use-after-free and out-of-bounds write issues; the article notes no confirmed in-the-wild exploitation and recommends upgrading and restricting RESTORE access."
Rủi ro cao vì có thể dẫn tới authenticated RCE thông qua RESTORE và lỗi memory corruption. Điểm cần chú ý gồm shared-NACK use-after-free (Streams) và out-of-bounds write (RedisBloom TDigest loader).
Tác động vận hành ở mức trung bình đến cao do yêu cầu nâng cấp theo đúng nhánh và rà soát quyền truy cập RESTORE. Việc chặn truy cập mạng không tin cậy có thể ảnh hưởng cấu hình tích hợp, nhưng giúp giảm nguy cơ gián đoạn do khai thác.
Các nhà nghiên cứu cho biết các tác nhân Kimi K3 đã phát hiện và công bố proof-of-concept tấn công authenticated remote code execution (RCE) nhắm vào Redis bản 6.2.22, 7.4.9, 8.6.4 và 8.8.0. Chuỗi khai thác dựa trên việc lạm dụng lệnh RESTORE để kích hoạt lỗi memory corruption trong Redis Streams và trong bộ nạp RedisBloom TDigest khi tải dữ liệu RDB.
Redis đã phát hành 7 bản vá bảo mật vào 23/07/2026 để khắc phục các vấn đề gồm shared-NACK use-after-free và out-of-bounds write. Theo bài viết, chưa có bằng chứng khai thác “in-the-wild” được xác nhận tính đến 24/07/2026.
Khuyến nghị: nâng cấp lên các phiên bản đã được sửa theo nhánh triển khai (ví dụ các bản 6.2.23/7.2.15/7.4.10 cho Streams; các bản 8.2.8/8.4.5/8.6.5/8.8.1 cho các lỗi liên quan Streams và RedisBloom/TDigest). Đồng thời thu hồi quyền RESTORE khỏi các tài khoản không thực sự cần và chặn truy cập mạng không tin cậy để giảm bề mặt tấn công cho cả hai đường khai thác.